Внутри приложения TikTok на iOS вставляет код jаvascript на внешние веб-сайты, что позволяет TikTok отслеживать все вводы и нажатия с клавиатуры, когда пользователь взаимодействует с определенным веб-сайтом. В TikTok говорят, что код не используется в злонамеренных целях.

Исследователь безопасности Феликс Крауз сказал, что встроенный браузер TikTok может получать любые конфиденциальные данные, например пароли и данные кредитной карты, вместе с каждым нажатием на экран.

В заявлении, направленном Forbes, представитель TikTok признал наличие кода jаvascript, о котором идет речь. Но сказал, что он используется только для отладки, устранения неисправностей и мониторинга производительности, чтобы обеспечить «оптимальный опыт пользователя».

Краузе сказал, что пользователи, желающие защитить себя от потенциального злонамеренного использования кода jаvascript во встроенном браузере, должны переключиться на просмотр ссылок в обозревателе по умолчанию, например Safari на iPhone и iPad.

По словам Краузе, Facebook и Instagram – это две другие программы, вставляющие код jаvascript во внешние веб-сайты, загруженные во встроенных браузерах их приложений.

В своем твиттере представитель материнской компании Facebook и Instagram Meta сказал, что компания намеренно разработала этот код, чтобы учесть выбор людей относительно прозрачности отслеживания приложений на наших платформах.

Краузе сказал, что он создал простой инструмент, позволяющий кому-либо проверить, вставляет ли встроенный браузер приложения код jаvascript на посещенные веб-сайты. Исследователь сказал, что пользователям нужно просто открыть приложение, которое они хотят проанализировать, зайти в него на сайт InAppBrowser.com и прочитать детали показанного отчета.